Skip to: categories | main content

Hacking Cineplex Online Reservation with Firebug

Ich wollte schon lange einmal was über den Firebug bloggen, einem sehr nützlichen Plugin für den Firefox Webbrowser. Ich benutze es hauptsächlich bei der Anwendungsentwicklung, da es einen Javascript Debugger und einen DOM-Inspector bietet (näheres hierzu findet sich auf der Webseite des Tools) - es kann allerdings auch dazu verwendet werden, Formularelemente auf einer Seite "on the fly" zu manipulieren und somit einer Serverseitigen Action Fakedaten vorgaukeln.

Mittwochs bin ich immer im Cineplexx in Neckarsulm zur Sneak Preview um 23 Uhr anzutreffen, das Cineplexx hat sein Reservierungssystem auf eine neue Platform umgestellt, welche unter http://212.20.182.131/ zu finden ist. Nach dem Auswählen eines Filmes und dem Einloggen mit seinen Benutzerdaten können (im Gegensatz zum alten System) nur noch bis zu vier Karten reserviert werden was natürlich viel zu wenig ist.

Manipulation des DOM mittels Firebug


Abhilfe tut im Firebug ein Klick auf "Inspect" worauf man mit der Maus über das Select Feld fährt, in dem normalerweite die Anzahl der Karten auswählt werden. Im DOM Inspector kann nun der Wert auf die gewünschte Menge geändert und das Forumular abgeschickt werden, worauf man zur Auswahl der Sitzplätze und danach zur Reservierungsbestätigung weitergeleitet wird :-).

Das Resultat


Solch ein Bug darf in einer Anwendung natürlich nicht aufteten - das ist schlichtweg peinlich. Die Formulardaten müssen (nach dem Konzept einem User niemals zu vertrauen) nochmals auf Serverseite validiert werden, aber das kann man von einem ASP Programmierer wohl nicht erwarten :-P
Geschrieben von Christoph Hautzinger in Fun Kommentar: (1) Trackbacks: (0)

Trackbacks
Trackback für spezifische URI dieses Eintrags

Keine Trackbacks

Kommentare
Ansicht der Kommentare: (Linear | Verschachtelt)

sven besagt,

Sonntag, 17. Februar 2008 um 14:45 (Antwort)

lol, das die das immer noch nicht gefixed haben...

:-)

Kommentar schreiben

Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss um dieses Verfahren anzuwenden.
CAPTCHA


Kommentare werden erst nach redaktioneller Prüfung freigeschaltet!